处理 Hub 和 Spoke

本页介绍如何列出、创建、描述、删除和更新 Network Connectivity Center Hub 和 Spoke。

如需了解 Network Connectivity Center，请参阅 Network Connectivity Center 概览。

准备工作

开始之前，请查看以下部分。

创建或选择项目

为了更轻松地配置 Network Connectivity Center，请先确定有效项目。

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

如果您使用的是 Google Cloud CLI，请使用 gcloud config set 命令设置项目 ID。
```
gcloud config set project PROJECT_ID
```
将 PROJECT_ID 替换为您的唯一项目 ID。

此页面上的 gcloud CLI 说明假定您已设置项目 ID。
如需确认您正确设置了项目 ID，请使用 gcloud config list 命令。
```
gcloud config list --format='text(core.project)'
```

启用 Network Connectivity API

您必须先启用 Network Connectivity API，然后才能使用 Network Connectivity Center 执行任何任务。

控制台

如要启用 Network Connectivity API，请执行以下操作：

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
点击启用。

或者，您可以按照启用 API 中所述，使用 Google Cloud 控制台 API 库来启用 API。

获取访问权限

如要使用 Network Connectivity Center，您需要具备角色和权限中所述的权限。

确定资源

使用 gcloud CLI 或 API 引用资源时，请使用下表中所述的惯例。

会展	支持	备注	示例
完整 URI	所有资源	使用其中一种方法来引用路由器设备实例。	"https://www.googleapis.com/compute/projects/`PROJECT_ID`/zones/`ZONE`/instances/`INSTANCE_NAME`"
相对资源名称	所有资源	使用其中一种方法来引用路由器设备实例。	"projects/`PROJECT_ID`/zones/`ZONE`/instances/`INSTANCE_NAME`"
名称	区域和全球资源	将此方法用于 hub、spoke、VPN 隧道和 VLAN 连接。	"`HUB_NAME`"

使用 Hub

本部分介绍如何列出、创建、描述和删除 Network Connectivity Center 中心。您还可以更新 Hub 的标签或说明。

创建 hub

如需使用 Network Connectivity Center，您必须至少创建一个 hub 和一个 spoke。创建 hub 时，您需要指定 hub 拓扑。拓扑以后无法更改。

创建 hub 时，您可以选择同时执行以下任一活动：

创建 spoke 并将其添加到 hub。如需了解每个项目和每个 hub 的 spoke 数量上限，请参阅配额和限制。
为 hub 添加标签。如需详细了解标签，请参阅标签概览。

如果您想创建一个使用混合检查拓扑来支持 NCC 网关 spoke 的 hub，则必须使用本部分中的 Google Cloud CLI 或 Cloud Router API 说明。如需详细了解 NCC 网关，请参阅 NCC 网关概览。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.hubs.create
此外，如果您使用的是 Google Cloud 控制台，您还需要以下权限：
- networkconnectivity.hubs.get
- networkconnectivity.hubs.list
- networkconnectivity.spokes.list
- compute.projects.get

角色

Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
点击创建 hub。
完成表单的基本配置部分：
1. 输入 Hub 名称。
2. （可选）输入说明。
3. 可选：要添加标签，请点击添加项，然后输入键和值。
4. 验证表单是否显示正确的项目 ID。如果项目 ID 不正确，请使用页面顶部的菜单选择其他项目。
如需启用 Private Service Connect 连接传播，请在 Private Service Connect 连接传播字段中点击开启。
执行下列其中一项操作：
- 如果要创建 spoke，请点击下一步并完成表单的 spoke 创建部分。如需查看相关说明，请参阅以下部分之一：
- 如果您现在不想创建 spoke，请点击创建以完成创建新 hub 的操作。

gcloud

如需创建 Hub，请使用 gcloud network-connectivity hubs create 命令。启用或停用 --export-psc 标志，以控制通过 Network Connectivity Center 进行 Private Service Connect 连接传播。

  gcloud network-connectivity hubs create HUB_NAME \
      --project="PROJECT_ID" \
      --description="DESCRIPTION" \
      --labels="KEY"="VALUE" \
      --preset-topology="HUB_TOPOLOGY" \
      [--export-psc]

替换以下值：

HUB_NAME：新 Hub 的名称
PROJECT_ID：新 Hub 所属项目的项目ID
DESCRIPTION：hub 的可选说明
KEY：可选标签文本的键值对中的键
HUB_TOPOLOGY：hub 的拓扑

有效值如下所示：
- mesh
- preset-topology-unspecified
- star
- hybrid-inspection

API

如要创建 Hub，请使用 networkconnectivity.hubs.create 方法。启用或停用 exportPsc 字段，以控制通过 Network Connectivity Center 进行 Private Service Connect 连接传播。

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs
  {
    "name":"HUB_NAME",
    "description":"DESCRIPTION",
    "labels": {
      "KEY": "VALUE"
    },
    "presetTopology": "HUB_TOPOLOGY",
    "exportPsc": True|False
  }

替换以下值：

PROJECT_ID：新 Hub 所属项目的项目ID
HUB_NAME：新 Hub 的名称
DESCRIPTION：hub 的可选说明
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值
HUB_TOPOLOGY：hub 的拓扑

有效值如下所示：
- mesh
- preset-topology-unspecified
- star
- hybrid-inspection

列出 Hub

如需列出与项目关联的 hub，请按照以下指南操作。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.hubs.list
此外，如果您使用的是 Google Cloud 控制台，您还需要以下权限：
- networkconnectivity.hubs.get
- networkconnectivity.spokes.list
- compute.projects.get

角色

以下项之一：
- Hub & Spoke Viewer (roles/networkconnectivity.hubViewer)
- Spoke Admin (roles/networkconnectivity.spokeAdmin)
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。

该页面列出了与项目关联的所有 hub，以及每个 hub 的以下信息：
- hub 的名称
- hub 的说明
- 已应用于 hub 的所有标签
- 与 hub 关联的 spoke 数量
- 与 hub 关联的 spoke 类型

gcloud

如需列出与项目关联的 hub，请使用 gcloud network-connectivity hubs list 命令。

  gcloud network-connectivity hubs list

命令输出包括每个 hub 的名称和说明。

API

如需列出与项目关联的 hub，请使用 networkconnectivity.hubs.list 方法。

  GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs

将 PROJECT_ID 替换为要列出的 Hub 所属项目的项目 ID。

对于每个 hub，此方法会返回以下详细信息：

hub 的名称
显示创建 hub 的时间的时间戳
上次更新的时间戳
应用于该 Hub 的所有标签
hub 的说明（如果存在）
hub 的唯一 ID
hub 的状态
routingVpcs 列表，即与 hub 的 spoke 关联的 VPC 网络

描述 Hub

请按照以下指南检索有关项目 Hub 的详细信息。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.hubs.get
此外，如果您使用的是 Google Cloud 控制台，您还需要以下权限：
- networkconnectivity.hubs.list
- networkconnectivity.spokes.list
- compute.projects.get

角色

以下项之一：
- Hub & Spoke Viewer (roles/networkconnectivity.hubViewer)
- Spoke Admin (roles/networkconnectivity.spokeAdmin)
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目以查看关于该项目 Hub 的信息。
如需检查 Hub 的 Spoke 的详细信息，请点击 Spoke 标签。

gcloud

如需获取现有 Hub 的详细信息，请使用 gcloud network-connectivity hubs describe 命令。

gcloud network-connectivity hubs describe HUB_NAME

将 HUB_NAME 替换为该 Hub 的名称。

此命令的输出包含以下信息：

Hub 的创建时间
Hub 的说明
应用于该 Hub 的所有标签
与此 hub 的 spoke 资源关联的 VPC 网络 (routingVpcs)
Hub 的唯一标识符
上次更新 Hub 的时间

如需了解连接到 Hub 的 Spoke，请参阅列出 Spoke 和描述 Spoke。

API

如需获取现有 Hub 的详细信息，请使用 networkconnectivity.hubs.get 方法。

  GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME

替换以下值：

PROJECT_ID：要说明的 Hub 所属项目的项目 ID
HUB_NAME：要说明的 Hub 名称

此命令的输出包含以下信息：

Hub 的创建时间
Hub 的说明
应用于该 Hub 的所有标签
与此 hub 的 spoke 资源关联的 VPC 网络 (routingVpcs)
Hub 的唯一标识符
上次更新 Hub 的时间

输出类似于以下内容：

 {
   "name": "projects/myproject/locations/global/hubs/myhub",
   "createTime": "2021-08-29T23:40:25.844970812Z",
   "updateTime": "2021-08-30T04:20:36.738801209Z",
   "labels": {
     "environment": "test"
   },
   "description": "in review",
   "uniqueId": "d6d3e375-4224-4352-a3b6-776042419430",
   "state": "ACTIVE",
   "routingVpcs": [ {
     "uri": "https://www.googleapis.com/compute/v1/projects/myproject/global/networks/myvpcnetwork"
   } ]
 }

如需了解连接到 Hub 的 Spoke，请参阅列出 Spoke 和描述 Spoke。

更新 Hub

创建 hub 后，您可以添加或更改以下任一项：

应用于 hub 的标签；如需了解标签，请参阅标签要求
hub 的说明
在现有 hub 上启用 Private Service Connect 连接传播。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.hubs.update

角色

Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
点击要修改的 hub 的名称。
在 Hub 详细信息页面上，点击 修改 hub。
更新 hub 说明和标签。
如需启用 Private Service Connect 连接传播，请点击开启。如需停用 Private Service Connect 连接传播，请点击关闭。
点击保存。

gcloud

如需更新 Hub 的说明或向 Hub 添加标签，请使用 gcloud network-connectivity hubs update 命令。

  gcloud network-connectivity hubs update HUB_NAME \
      --description="DESCRIPTION" \
      --update-labels="KEY"="VALUE"

如果要为 Network Connectivity Center hub 启用全局 Private Service Connect 传播连接，请使用 --export-psc 标志。

  gcloud network-connectivity hubs update HUB_NAME \
      [--description="DESCRIPTION"] \
      --update-labels="KEY"="VALUE" \
      --export-psc

替换以下值：

HUB_NAME：hub 的名称
DESCRIPTION：hub 的可选说明
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值

您可以使用 --no-export-psc 标志在现有 hub 上停用 Private Service Connect 连接传播功能。现有的传播连接会异步移除。

要删除一个或多个标签，请使用 --remove-labels 标志。如需移除所有标签，请使用 --clear-labels 标志。如需了解详情，请参阅 gcloud network connectivity hubs update 命令。

API

如需更新 Hub 的说明或向 Hub 添加标签，请使用 networkconnectivity.hubs.patch 方法。

  PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME
  {
    "description": "DESCRIPTION",
    "labels": {
      "KEY": "VALUE"
    }
  }

如果要为 Network Connectivity Center hub 启用全局 Private Service Connect 传播连接，请将 export-psc 值设置为 true。

PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME
{
 "export_psc": true
}

替换以下值：

PROJECT_ID：包含 hub 的项目的 ID
HUB_NAME：hub 的名称
DESCRIPTION：hub 的可选说明
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值

您可以通过将 export_psc 值设置为 false 来停用现有 hub 上的 Private Service Connect 连接传播功能。现有的传播连接会异步移除。

删除 Hub

在删除某个 Hub 之前，必须先删除其 Spoke，如删除 Spoke 中所述。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.hubs.delete
此外，如果您使用的是 Google Cloud 控制台，您还需要以下权限：
- networkconnectivity.hubs.get
- networkconnectivity.hubs.list
- networkconnectivity.spokes.list
- compute.projects.get

角色

Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
点击删除 Hub。
在确认对话框中，执行下列操作之一：
- 如果您不想删除此 Hub，请点击取消。
- 点击删除以删除 Hub。

gcloud

如需删除 Hub，请使用 gcloud network-connectivity hubs delete 命令。

  gcloud network-connectivity hubs delete HUB_NAME

将 HUB_NAME 替换为该 Hub 的名称。

API

如需删除 Hub，请使用 networkconnectivity.hubs.delete 方法。

  DELETE https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME

替换以下值：

PROJECT_ID：要删除的 hub 所属项目的 ID
HUB_NAME：要删除的 Hub 的名称

处理 Spoke

本部分介绍如何列出、创建、描述、删除和更新 Network Connectivity Center spoke。

Spoke 指南

创建 spoke 时，您可以指定您计划与 spoke 关联的 Google Cloud 网络资源的类型。

如需查看受支持的资源类型列表，请参阅 Network Connectivity Center 概览中的 Spoke 部分。
如需了解可与 Spoke 关联的资源数量，请参阅配额和限制页面。

对于混合 spoke，我们建议在与 spoke 相连的最近区域中创建 spoke。网站可以是本地数据中心、分支办公室或其他云提供商。 VPC spoke 是全球性的。

要求

您必须在要与 spoke 关联的 Network Connectivity 资源所在的 Google Cloud 区域中创建 spoke。例如，假设您有一个 VPN 隧道使用 us-central1 中的高可用性 VPN 网关。如果要创建使用此隧道的 Spoke，则必须在 us-central1 中创建该 Spoke。

限制

创建 spoke 后，您无法更改其许多属性。如果要修改无法更改的属性，您必须删除 spoke 并重新创建。

例如，以下属性无法更改：

站点到站点数据传输字段的值。
与 Spoke 关联的高可用性 VPN 隧道或 VLAN 连接。
与 Spoke 背后的支持资源关联的 VPC 网络。此限制仅与路由器设备 Spoke 相关，因为它们具有可修改的资源。
提供方 VPC spoke 的使用方 VPC spoke 和对等互连连接名称。
用于确定在 VPC spoke 的导出中包含或排除哪些 IPv4 子网范围的配置。

如需查看 Spoke 创建后可以更改的 Spoke 特性的列表，请参阅更新 Spoke。

关于将多个资源连接到一个 Spoke 的建议

创建 Spoke 时，可以添加多个资源，但所有资源的类型必须相同。例如，您可以添加多个高可用性 VPN 隧道，但不能添加高可用性 VPN 隧道和 VLAN 连接。

此外，对于 VLAN 连接和 VPN 隧道，存在以下限制：虽然一个 spoke 可以与多个资源关联，但每个资源只能与一个 spoke 关联。相比之下，如果路由器设备实例在多个 VPC 网络中具有接口，并且站点到站点数据传输字段设置为 false，则路由器设备实例可以与多个 spoke 关联。但是，每个接口只能与一个 spoke 关联。

此外，请参阅创建路由器设备 Spoke、创建 VLAN 连接 Spoke、创建 VPN Spoke 和创建 VPC Spoke 部分中介绍的特定于资源的建议。

ASN Spoke 分配（仅限混合 Spoke）

对于混合 spoke，您必须按照 ASN 要求中所述分配 ASN。

验证 Spoke 资源

在创建 Spoke 之前，必须正确配置相应的资源。如需了解详情，请参阅创建 NCC 网关 spoke、创建 VPC spoke、创建提供方 VPC spoke、创建路由器设备 spoke、创建 VLAN 连接 spoke 和创建 VPN spoke 部分中所述的资源特定建议。

创建 NCC 网关 spoke

gcloud

使用 gcloud beta network-connectivity spokes gateways create 命令：

gcloud beta network-connectivity spokes gateways create SPOKE_NAME \
    --region=REGION \
    --hub=HUB \
    --capacity=CAPACITY \
    --ip-range-reservations=IP_RANGE \
    --group=gateways

替换以下内容：

SPOKE_NAME：Spoke 的名称
REGION：您希望在其中部署 NCC 网关的区域
HUB：spoke 的 hub 名称
CAPACITY：网关 spoke 的容量，以 Gbps 为单位

支持的容量值包括 1、10 或 100。
IP_RANGE：一组 IP 地址范围，用于为此网关分配支持性基础设施，例如 10.1.2.0/23

IP 地址块必须是 /23 范围。此 IP 地址块不得与网关可以通信的任何 spoke 或对等网络中的子网重叠。

注意：您无法更改已分配的 IP 地址范围。某些 IP 地址范围是为 SSE 合作伙伴预留的。

API

如需创建 NCC 网关 spoke，请使用 projects.locations.spokes.create 方法。

  POST https://networkconnectivity.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
  {
    "hub":"HUB_NAME",
    "location" : LOCATION,
    "gateway": {
       "ip_range_reservation": IP_RANGE,
       "capacity": CAPACITY
       "group": gateways
    },
  }

替换以下值：

PROJECT_ID：新 spoke 所属项目的项目 ID
SPOKE_NAME：Spoke 的名称
HUB_NAME：您要将 Spoke 连接到的 Hub 的名称
LOCATION：您希望在其中部署 NCC 网关的区域
IP_RANGE：一组 IP 地址范围，用于为此网关分配支持性基础设施，例如 10.1.2.0/23

IP 地址块必须是 /23 范围。此 IP 地址块不得与网关可以通信的任何 spoke 或对等网络中的子网重叠。

注意：您无法更改已分配的 IP 地址范围。某些 IP 地址范围是为 SSE 合作伙伴预留的
CAPACITY：网关 spoke 的容量，以 Gbps 为单位

支持的容量值包括 1、10 或 100。

创建 VPC Spoke

在创建 VPC 连接 Spoke 之前，请参考以下准则：

VPC Spoke 是全球性的，因为 VPC 网络是全球性的。
VPC spoke 之间不得存在子网重叠。您可以通过使用 exclude export ranges 和 include export ranges 标志来避免这种情况。如需详细了解如何使用 VPC 网络连接的过滤条件，请参阅使用导出过滤条件的 VPC 连接。
Network Connectivity Center VPC 连接与 VPC 对等互连之间不能存在子网重叠。
VPC spoke（其中 hub 和 VPC spoke 位于不同的项目中）的工作流不同。如需了解详情，请参阅与 hub 位于不同项目中的 VPC spoke。
连接到支持星形拓扑的 hub 的 VPC spoke 必须明确分配给 spoke 群组。
如果您想在 VPC spoke 中创建 Private Service Connect 连接，则必须为 hub 启用 Private Service Connect 连接传播。如需了解如何创建 Private Service Connect 端点，请参阅创建端点。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

针对添加到 spoke 的 VPC 网络的 compute.networks.use
针对 spoke 与之关联的 hub 的 networkconnectivity.groups.use
针对 VPC 网络所在项目的 networkconnectivity.spokes.create
networkconnectivity.groups.create，用于在 hub 上创建群组
hub 的 networkconnectivity.groups.use，用于在不同于 hub 的项目中创建与群组关联的 spoke

角色

针对要添加到 spoke 的 VPC 网络的 Compute Network Admin (roles/compute.networkAdmin)
针对 spoke 与之关联的 hub 的 Group User (roles/networkconnectivity.groupUser)
针对 VPC 网络所在项目的 Spoke Admin (roles/networkconnectivity.spokeAdmin)

如需连接给定项目中的多个 VPC 网络，请将 VPC 网络连接到 spoke，并将其连接到 hub。

如果您要创建 VPC 以连接到配置为星形拓扑的 hub，则必须从 hub 管理员那里获取项目 ID、hub 名称或 URI 以及群组名称。

如果要分配排除导出范围或包含导出范围，请在创建 spoke 期间使用适当的选项。

如需创建 VPC Spoke，请按照以下步骤操作。

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择您要在其中创建 spoke 的项目。
点击 Spoke 标签页。
点击添加 Spoke。
在选择 hub 部分中，按如下方式选择 hub 位置：
- 如需将新 Spoke 连接到同一项目中的 Hub，请选择在项目 PROJECT_NAME 中，然后从列表中选择 Hub 名称。
- 如果要将新的 Spoke 连接到其他项目中的 Hub，请选择在其他项目中。输入要连接新 Spoke 的项目 ID 和 Hub 名称。
当您选择其他项目中的 Hub 时，仅在 Hub 管理员审核并接受您建议的 Spoke 时，您的 Spoke 才会生效。如需详细了解如何创建连接到其他项目中的 Hub 的 Spoke，请参阅 VPC Spoke 概览。如果您要在 Hub 所在的项目中创建 VPC Spoke，则系统会自动接受并激活该 Spoke。
输入 Spoke 名称和（可选）说明。
如果您要连接的集线器配置为星形拓扑结构，请为您的轮辐选择 spoke 群组。如需详细了解 spoke 群组，请参阅 spoke 群组。
选择 VPC 网络作为 Spoke 类型。
如需将 VPC 网络添加到 spoke，请从关联的 VPC 网络列表中选择一个。
可选：添加 VPC spoke 过滤条件来自定义路由的通告方式，具体方法是指定 IP 地址范围以在从 spoke 到 hub 的导出中排除或包含。您可以将 spoke 配置为仅导出使用专用 IPv4 地址的子网范围、仅导出 IPv6 子网范围（内部和外部）或同时导出使用专用 IPv4 地址的子网范围以及内部和外部 IPv6 子网范围。
1. IPv4 范围：配置 IPv4 子网范围的导出。
  - 包含从 spoke 导出到 hub 的 IPv4 子网范围：默认情况下，此复选框处于选中状态，并会导出所有使用专用 IPv4 地址的子网范围。
    
    如果您不想导出 IPv4 子网范围，请取消选中此复选框。
    
    如果您只想导出特定的 IPv4 子网范围，请选择指定 IPv4 范围，然后输入要导出的地址范围。您指定的 IPv4 子网范围必须是专用 IPv4 地址范围，不包括以非公开方式使用的公共 IPv4 地址。如需了解详情，请参阅有效的 IPv4 范围。
  - 排除从 spoke 导出到 hub 的 IPv4 子网范围：如果 spoke 导出 IPv4 子网范围，并且您希望从导出中排除特定范围，请在此字段中输入这些范围。
2. IPv6 地址范围：配置 IPv6 子网范围（内部和外部）的导出。
  - 包含从 spoke 导出到 hub 的所有 IPv6 子网范围：如需将所有 IPv6 子网范围导出到 hub，请选中该复选框。
点击完成。
如果要添加更多 Spoke，请点击添加 Spoke，然后重新开始该过程，从输入 Spoke 名称开始。
添加完 spoke 后，点击创建。Network Connectivity Center 页面会更新，以显示您创建的 spoke 的详细信息。

gcloud

如需创建 VPC spoke，请使用 gcloud network-connectivity spokes linked-vpc-network create 命令。

gcloud network-connectivity spokes linked-vpc-network create SPOKE_NAME \
    --hub=HUB \
    --description=DESCRIPTION \
    --vpc-network=VPC_URI \
    --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
    --exclude-export-ranges=[EXCLUDE_IPV4_RANGES] \
    --global \
    --group=GROUP_NAME

替换以下内容：

SPOKE_NAME：您正在创建的 spoke 的名称，例如 vpc-spoke1
HUB：Spoke 的 Hub
DESCRIPTION：spoke 的可选说明
VPC_URI：此 Spoke 指向的 VPC 网络
INCLUDE_EXPORT_RANGES：一个英文逗号分隔列表，其中包含用于定义可导出到 hub 的子网 IP 地址范围的关键字、CIDR 或关键字和 CIDR 组合。
- ALL_PRIVATE_IPV4_RANGES 关键字会将使用专用 IPv4 地址的所有子网范围添加到包含导出范围列表中。
- ALL_IPV6_RANGES 关键字会将所有 IPv6 子网范围添加到包含导出范围列表中。
- 包含导出范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。VPC spoke 网络中与包含导出范围列表中的 CIDR 重叠的每个当前和未来子网范围都必须满足以下条件之一：
  - 与包含导出范围列表中的 CIDR 完全匹配。
  - 处于包含导出范围列表中的 CIDR 内。在这种情况下，子网范围的子网掩码长度大于包含导出范围列表中的 CIDR。例如，如果 VPC spoke 网络具有 10.1.2.0/24 子网范围，则 10.1.0.0/16 是包含导出范围列表的有效 CIDR，但 10.1.2.0/25 则不是。
- 如果您省略 INCLUDE_EXPORT_RANGES 列表，Network Connectivity Center 的运作方式就如同包含导出范围列表为 [ALL_PRIVATE_IPV4_RANGES] 一样。
EXCLUDE_IPV4_RANGES：用于定义绝不会导出到 hub 的子网 IP 地址范围的 CIDR 的英文逗号分隔列表。
- 排除 IPv4 范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。
- 排除 IPv4 范围列表中指定的每个 CIDR 都必须扩展到由包含导出范围列表完全包含的 IP 地址。
- 如果您省略 EXCLUDE_IPV4_RANGES 列表，Network Connectivity Center 的运作方式就如同排除 IPv4 导出范围列表为空 ([]) 一样。
GROUP_NAME：此 spoke 所属的群组，例如 center 或 edge。对于使用星形拓扑的 spoke 群组，此字段为必填字段。如需详细了解 spoke 群组，请参阅 spoke 群组。

API

如需创建 VPC spoke，请使用 projects.locations.spokes.create 方法。

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
  {
    "hub":"HUB_NAME",
    "linkedVpcNetwork": {
       "uri": VPC_URI,
       "include_export_ranges": "[INCLUDE_EXPORT_RANGES]",
       "exclude_export_ranges": "[EXCLUDE_IPV4_RANGES]",
       "group": "GROUP_NAME"
    },
  }

替换以下值：

PROJECT_ID：新 spoke 所属项目的 ID。
SPOKE_NAME：新 spoke 的名称。
HUB_NAME：您要将 spoke 连接到的 hub 的名称。
VPC_URI：此 spoke 指向的 VPC 网络，例如 vpc_uri。
INCLUDE_EXPORT_RANGES：一个英文逗号分隔列表，其中包含用于定义可导出到 hub 的子网 IP 地址范围的关键字、CIDR 或关键字和 CIDR 组合。
- ALL_PRIVATE_IPV4_RANGES 关键字会将使用专用 IPv4 地址的所有子网范围添加到包含导出范围列表中。
- ALL_IPV6_RANGES 关键字会将所有 IPv6 子网范围添加到包含导出范围列表中。
- 包含导出范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。VPC spoke 网络中与包含导出范围列表中的 CIDR 重叠的每个当前和未来子网范围都必须满足以下条件之一：
  - 与包含导出范围列表中的 CIDR 完全匹配。
  - 处于包含导出范围列表中的 CIDR 内。在这种情况下，子网范围的子网掩码长度大于包含导出范围列表中的 CIDR。例如，如果 VPC spoke 网络具有 10.1.2.0/24 子网范围，则 10.1.0.0/16 是包含导出范围列表的有效 CIDR，但 10.1.2.0/25 则不是。
- 如果您省略 INCLUDE_EXPORT_RANGES 列表，Network Connectivity Center 的运作方式就如同包含导出范围列表为 [ALL_PRIVATE_IPV4_RANGES] 一样。
EXCLUDE_IPV4_RANGES：用于定义绝不会导出到 hub 的子网 IP 地址范围的 CIDR 的英文逗号分隔列表。
- 排除 IPv4 范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。
- 排除 IPv4 范围列表中指定的每个 CIDR 都必须扩展到由包含导出范围列表完全包含的 IP 地址。
- 如果您省略 EXCLUDE_IPV4_RANGES 列表，Network Connectivity Center 的运作方式就如同排除 IPv4 导出范围列表为空 ([]) 一样。
GROUP_NAME：此 spoke 所属的群组。spoke 群组的名称。支持的值为 default（对于网状拓扑 hub）和 center 或 edge（对于星形拓扑 hub）。对于使用星形拓扑的 spoke 群组，此字段为必填字段。如需详细了解 spoke 群组，请参阅 spoke 群组。

创建提供方 VPC spoke

在创建提供方 VPC spoke 之前，请完成以下工作：

查看提供方 VPC spoke 的注意事项。
查看创建 VPC spoke 的准则，这些准则也适用于提供方 VPC spoke。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

对等使用方 VPC spoke 上的 networkconnectivity.spokes.use
针对 spoke 与之关联的 hub 的 networkconnectivity.groups.use
对等使用方 VPC 网络所在项目中的 networkconnectivity.spokes.create
networkconnectivity.groups.create，用于在 hub 上创建群组
hub 的 networkconnectivity.groups.use，用于在不同于 hub 的项目中创建与群组关联的 spoke

角色

对等使用方 VPC 网络上的 Compute Network Admin 角色 (roles/compute.networkAdmin)
对等使用方 VPC 网络所在项目中的 Spoke Admin 角色 (roles/networkconnectivity.spokeAdmin)

如需将服务提供方 VPC 网络与指定项目中的其他网络相连，请将提供方 VPC 网络连接到提供方 VPC spoke，并将提供方 VPC spoke 连接到 hub。

如果您使用 Google Cloud CLI 或 API 将提供方 VPC spoke 连接到为星型拓扑配置的 hub，则必须使用与 hub 上现有使用方 VPC spoke 相同的群组名称。如果您使用 Google Cloud 控制台，系统会自动将提供方 VPC spoke 添加到同一组中。

如果要分配排除导出范围或包含导出范围，请在创建 spoke 期间使用适当的选项。

如需创建提供方 VPC spoke，请按照以下步骤操作。

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择您要在其中创建 spoke 的项目。
点击 Spoke 标签页。
点击添加 Spoke。
在选择 hub 部分中，按如下方式选择 hub 位置：
- 如需将新 Spoke 连接到同一项目中的 Hub，请选择在项目 PROJECT_NAME 中，然后从列表中选择 Hub 名称。
- 如果要将新的 Spoke 连接到其他项目中的 Hub，请选择在其他项目中。输入要连接新 Spoke 的项目 ID 和 Hub 名称。
当您选择其他项目中的 Hub 时，仅在 Hub 管理员审核并接受您建议的 Spoke 时，您的 Spoke 才会生效。如需详细了解如何创建连接到其他项目中的 hub 的 spoke，请参阅 VPC spoke 概览。如果您要在 hub 所在的项目中创建提供方 VPC spoke，则系统会自动接受并激活该提供方 VPC spoke。
输入 Spoke 名称和（可选）说明。
选择提供方 VPC 网络作为 spoke 类型。
输入 hub 上现有的使用方 VPC spoke 的名称，它通过 VPC 网络对等互连连接使用提供方 VPC 网络中的服务。 Google Cloud通过对等互连连接来识别提供方网络。
或者，您还可以添加 VPC spoke 过滤条件来自定义路由的通告方式，具体方法是输入 IP 地址范围以排除或包含从 spoke 到 hub 的导出。创建 spoke 后，您将无法更改此过滤条件。
点击完成。
如果要添加更多 spoke，请点击添加 spoke，然后从输入 spoke 名称开始，重新开始该过程。
添加完 spoke 后，点击创建。Network Connectivity Center 页面会更新，以显示您创建的 spoke 的详细信息。

gcloud

如需创建提供方 VPC spoke，请使用 gcloud network-connectivity spokes linked-producer-vpc-network create 命令。

gcloud network-connectivity spokes linked-producer-vpc-network create SPOKE_NAME \
    --hub=HUB \
    --description=DESCRIPTION \
    --network=CONSUMER_VPC_URI \
    --peering=servicenetworking-googleapis-com \
    --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
    --exclude-export-ranges=[EXCLUDE_IPv4_RANGES] \
    --global \
    --group=GROUP_NAME

--peering 标志必须设置为 servicenetworking-googleapis-com。

替换以下内容：

SPOKE_NAME：您正在创建的 spoke 的名称，例如 producer-vpc-spoke1
HUB：Spoke 的 Hub
DESCRIPTION：（可选）用于描述 spoke 的文本
CONSUMER_VPC_URI：通过 VPC 网络对等互连连接使用提供方网络中的服务的 VPC 网络

Google Cloud 通过对等互连连接来识别提供方 VPC 网络。您输入的使用方网络也必须是 hub 中的 spoke。您可以输入完整 URI 或相对 URI。以下示例展示了相对 URI：projects/PROJECT_ID/global/networks/NETWORK_NAME。
INCLUDE_EXPORT_RANGES：一个英文逗号分隔列表，其中包含用于定义可导出到 hub 的子网 IP 地址范围的关键字、CIDR 或关键字和 CIDR 组合。
- ALL_PRIVATE_IPV4_RANGES 关键字会将使用专用 IPv4 地址的所有子网范围添加到包含导出范围列表中。
- ALL_IPV6_RANGES 关键字会将所有 IPv6 子网范围添加到包含导出范围列表中。
- 包含导出范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。VPC spoke 网络中与包含导出范围列表中的 CIDR 重叠的每个当前和未来子网范围都必须满足以下条件之一：
  - 与包含导出范围列表中的 CIDR 完全匹配。
  - 处于包含导出范围列表中的 CIDR 内。在这种情况下，子网范围的子网掩码长度大于包含导出范围列表中的 CIDR。例如，如果 VPC spoke 网络具有 10.1.2.0/24 子网范围，则 10.1.0.0/16 是包含导出范围列表的有效 CIDR，但 10.1.2.0/25 则不是。
- 如果您省略 INCLUDE_EXPORT_RANGES 列表，Network Connectivity Center 的运作方式就如同包含导出范围列表为 [ALL_PRIVATE_IPV4_RANGES] 一样。
EXCLUDE_IPV4_RANGES：用于定义绝不会导出到 hub 的子网 IP 地址范围的 CIDR 的英文逗号分隔列表。
- 排除 IPv4 范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。
- 排除 IPv4 范围列表中指定的每个 CIDR 都必须扩展到由包含导出范围列表完全包含的 IP 地址。
- 如果您省略 EXCLUDE_IPV4_RANGES 列表，Network Connectivity Center 的运作方式就如同排除 IPv4 导出范围列表为空 ([]) 一样。
GROUP_NAME：此 spoke 所属的群组，例如 center 或 edge。对于使用星形拓扑的 spoke 群组，此字段为必填字段。如果使用星型拓扑，则必须将提供方 VPC spoke 放在与现有使用方 VPC spoke 相同的群组中。如需详细了解 spoke 群组，请参阅 spoke 群组。

API

如需创建提供方 VPC spoke，请使用 networkconnectivity.spokes.create 方法。

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
  {
    "hub":"HUB_NAME",
    "linkedProducerVpcNetwork": {
       "network": "CONSUMER_VPC_URI",
       "peering_name": "servicenetworking-googleapis-com",
       "include_export_ranges": "[INCLUDE_EXPORT_RANGES]",
       "exclude_export_ranges": "[EXCLUDE_IPv4_RANGES]",
       "group": "GROUP_NAME"
    },
  }

peering_name 字段必须设置为 servicenetworking-googleapis-com。

替换以下值：

PROJECT_ID：新 spoke 所属项目的 ID
HUB_NAME：您要将 spoke 连接到的 hub 的名称
SPOKE_NAME：您要创建的 spoke 的名称
CONSUMER_VPC_URI：通过 VPC 网络对等互连连接使用提供方中的服务的 VPC 网络

Google Cloud 通过对等互连连接来识别提供方 VPC 网络。您输入的使用方网络也必须是 hub 中的 spoke。您可以输入完整 URI 或相对 URI。以下示例展示了相对 URI：projects/PROJECT_ID/global/networks/NETWORK_NAME。
INCLUDE_EXPORT_RANGES：一个英文逗号分隔列表，其中包含用于定义可导出到 hub 的子网 IP 地址范围的关键字、CIDR 或关键字和 CIDR 组合。
- ALL_PRIVATE_IPV4_RANGES 关键字会将使用专用 IPv4 地址的所有子网范围添加到包含导出范围列表中。
- ALL_IPV6_RANGES 关键字会将所有 IPv6 子网范围添加到包含导出范围列表中。
- 包含导出范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。VPC spoke 网络中与包含导出范围列表中的 CIDR 重叠的每个当前和未来子网范围都必须满足以下条件之一：
  - 与包含导出范围列表中的 CIDR 完全匹配。
  - 处于包含导出范围列表中的 CIDR 内。在这种情况下，子网范围的子网掩码长度大于包含导出范围列表中的 CIDR。例如，如果 VPC spoke 网络具有 10.1.2.0/24 子网范围，则 10.1.0.0/16 是包含导出范围列表的有效 CIDR，但 10.1.2.0/25 则不是。
- 如果您省略 INCLUDE_EXPORT_RANGES 列表，Network Connectivity Center 的运作方式就如同包含导出范围列表为 [ALL_PRIVATE_IPV4_RANGES] 一样。
EXCLUDE_IPV4_RANGES：用于定义绝不会导出到 hub 的子网 IP 地址范围的 CIDR 的英文逗号分隔列表。
- 排除 IPv4 范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。
- 排除 IPv4 范围列表中指定的每个 CIDR 都必须扩展到由包含导出范围列表完全包含的 IP 地址。
- 如果您省略 EXCLUDE_IPV4_RANGES 列表，Network Connectivity Center 的运作方式就如同排除 IPv4 导出范围列表为空 ([]) 一样。
GROUP_NAME：此 spoke 所属的组。

支持的值为 default（对于网状拓扑 hub）和 center 或 edge（对于星形拓扑 hub）。对于使用星形拓扑的 spoke 组，此字段为必填字段。如果您使用的是星形拓扑，则必须将提供方 VPC spoke 放在与现有使用方 VPC spoke 相同的组中。如需详细了解 spoke 组，请参阅 spoke 组。

创建路由器设备 Spoke

如果您使用路由器设备 spoke 连接到Google Cloud外部的站点，请遵循以下指导：

与 VLAN 连接和 VPN spoke 不同，路由器设备 spoke 不必与 Google Cloud外部的某一位置相关联。但是，由于路由器设备实例是区域级资源，因此我们建议您将其配置为从附近的位置接收数据。
如果配置多个路由器设备实例来接收来自同一组站点的数据，我们建议您将这些实例与同一 Spoke 相关联。

如果您使用路由器设备 spoke 进行站点到站点数据传输，请遵循以下指导：

如果将多个路由器设备实例与一个 Spoke 相关联，请注意 Network Connectivity Center 不会在这些实例之间提供站点到站点数据传输。如需使用站点到站点数据传输，您必须设置多个 Spoke。相应地，Network Connectivity Center 将允许在这些 Spoke 之间进行数据传输。

创建路由器设备 Spoke 后，您必须在路由器设备实例和位于同一区域的 Cloud Router 之间设置 BGP 对等互连。如需了解详情，请参阅创建路由器设备实例。

如需了解如何配置创建路由器设备 Spoke 所需的资源，请参阅以下文档：

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.create
compute.routers.get
compute.instances.get
如果您使用的是 Google Cloud 控制台，则需要拥有查看某些网络资源的权限。如需了解详情，请参阅角色和权限。

角色

您会看到下列其中一种公开范围：
- Spoke Admin (roles/networkconnectivity.spokeAdmin)
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
诸如 Compute Network Viewer (roles/compute.networkViewer)) 之类的角色，该角色可向您授予读取 Cloud Router 路由器资源和 spoke 的资源类型（本例中为虚拟机）的权限
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

输入基本 Spoke 详情

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center

在项目菜单中，选择一个 Google Cloud 项目。
点击 Spoke 标签页。
点击添加 Spoke。
在新 spoke 表单中，设置 Spoke 类型。
输入 Spoke 名称和（可选）说明。
选择新 spoke 的区域字段。
在站点到站点数据传输下，选择开启或关闭。如果您选择的区域不支持数据传输，则该字段处于停用状态。如需详细了解此使用场景，请参阅站点到站点数据传输概览。
在 VPC 网络列表中，选择一个网络。如果您有多个使用数据传输功能的 Spoke，则所有这些 Spoke 都必须位于同一 VPC 网络中。因此，如果您已创建某个使用数据传输功能的 Spoke，则 VPC 网络值会被预填充且无法更改。

输入路由器设备详细信息

选择一个路由器设备实例：

点击添加实例。
从实例下拉菜单中，选择一个现有的路由器设备实例。

可选：如需将向 hub 通告的子网传播到混合 spoke，请在混合 spoke 过滤条件下，点击包括从 hub 到 spoke 的所有 IPv4 范围。
如需向此 Spoke 添加更多路由器设备实例，请重复上述步骤。完成后，点击完成，然后继续保存您的 spoke。

保存您的 Spoke

如果要添加更多 Spoke，请点击添加 Spoke，然后重新开始该过程，从输入 Spoke 名称开始。
添加完 Spoke 后，点击创建。 Network Connectivity Center 页面会更新，以显示您创建的 Spoke 的详细信息。

gcloud

如需创建路由器设备 spoke，请使用 gcloud network-connectivity spokes linked-router-appliances create 命令。

例如，如需创建具有两个路由器设备实例并使用站点到站点数据传输的 spoke，请运行以下命令。

如需启用将子网 IP 地址范围导入此 spoke 的功能，请使用 --include-import-ranges 标志。

  gcloud network-connectivity spokes linked-router-appliances create NAME \
      --hub=HUB_NAME \
      --description="DESCRIPTION" \
      --router-appliance=instance="ROUTER_APPLIANCE_URI",ip=IP_ADDRESS \
      --router-appliance=instance="ROUTER_APPLIANCE_URI_2",ip=IP_ADDRESS_2 \
      --region=REGION \
      --labels="KEY"="VALUE" \
      --site-to-site-data-transfer \
      --include-import-ranges=[INCLUDE_IMPORT_RANGES,...]

替换以下值：

NAME：Spoke 的名称
HUB_NAME：hub 的名称
DESCRIPTION：spoke 的可选说明

ROUTER_APPLIANCE_URI：第一个路由器设备实例的 URI，例如

https://www.googleapis.com/compute/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME

IP_ADDRESS：第一个路由器设备实例的内部 IP 地址
ROUTER_APPLIANCE_URI_2：第二个路由器设备实例的 URI
IP_ADDRESS_2：第二个路由器设备实例的内部 IP 地址
REGION：spoke 所在的 Google Cloud 区域，例如 us-west1
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值
[INCLUDE_IMPORT_RANGES,...]：指定要从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

如果您要为 spoke 启用数据传输，请使用 site-to-site-data-transfer 标志。如需详细了解此使用场景，请参阅站点到站点数据传输概览。

API

如需创建路由器设备 Spoke，请使用 projects.locations.spokes.create 方法。例如，如需创建包含两个路由器设备实例的 Spoke，请使用以下请求：

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/SPOKE_NAME
  {
    "hub": "HUB_NAME",
    "labels": {"KEY": "VALUE"},
    "linkedRouterApplianceInstances": {
      "instances": [
        {
          "virtualMachine": "ROUTER_APPLIANCE_URI",
          "ipAddress": "IP_ADDRESS",
        },
        {
          "virtualMachine": "ROUTER_APPLIANCE_URI_2,
          "ipAddress": "IP_ADDRESS_2",
        }
      ],
      "siteToSiteDataTransfer": BOOLEAN
      "includeImportRanges": [INCLUDE_IMPORT_RANGES,...]
    }
  }

替换以下值：

PROJECT_ID：您的项目的 ID
REGION：您希望 spoke 所在的 Google Cloud 区域，例如 us-west1
SPOKE_NAME：Spoke 的名称
HUB_NAME：您要将 Spoke 连接到的 Hub 的名称
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值

ROUTER_APPLIANCE_URI：第一个路由器设备实例的 URI，例如

https://www.googleapis.com/compute/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME

IP_ADDRESS：第一个路由器设备实例的内部 IP 地址
ROUTER_APPLIANCE_URI_2：第二个路由器设备实例的 URI
IP_ADDRESS_2：第二个路由器设备实例的内部 IP 地址
[INCLUDE_IMPORT_RANGES,...]：指定要从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

创建 VLAN 连接 Spoke

在创建 VLAN 连接 Spoke 之前，请参考以下准则：

如果您在同一站点的冗余配置中配置了专用互连或合作伙伴互连连接，则应将这两个连接一起配置为单个 Spoke。与这些互连连接关联的冗余 VLAN 连接必须位于同一 Google Cloud 区域中。如需详细了解冗余配置，请参阅 Cloud Interconnect 的最佳实践。
如果要使用来自不同区域的多个互连连接，则必须将其配置为不同的 Spoke。

如需了解如何配置创建 VLAN 连接 Spoke 所需的资源，请参阅以下文档：

如需了解如何验证 VLAN 连接资源，请参阅以下文档：

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.create
compute.routers.get
compute.interconnectAttachments.get
如果您使用的是 Google Cloud 控制台，则需要拥有查看某些网络资源的权限。如需了解详情，请参阅角色和权限。

角色

您会看到下列其中一种公开范围：
- Spoke Admin (roles/networkconnectivity.spokeAdmin)
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
诸如 Compute Network Viewer (roles/compute.networkViewer)) 之类的角色，该角色可向您授予读取 Cloud Router 路由器资源和 spoke 的资源类型（本例中为 VLAN 连接）的权限
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

输入基本 Spoke 详情

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center

在项目菜单中，选择一个 Google Cloud 项目。
点击 Spoke 标签页。
点击添加 Spoke。
在新 spoke 表单中，设置 Spoke 类型。
输入 Spoke 名称和（可选）说明。
选择新 spoke 的区域字段。
在站点到站点数据传输下，选择开启或关闭。如果您选择的区域不支持数据传输，则该字段处于停用状态。如需详细了解此使用场景，请参阅站点到站点数据传输概览。
在 VPC 网络列表中，选择一个网络。如果您有多个使用数据传输功能的 Spoke，则所有这些 Spoke 都必须位于同一 VPC 网络中。因此，如果您已创建某个使用数据传输功能的 Spoke，则 VPC 网络值会被预填充且无法更改。

输入 VLAN 连接详情

选择 VLAN 连接：
1. 点击添加连接。
2. 从 VLAN 连接下拉菜单中，选择一个现有连接。
如需将通告到 hub 的子网传播到混合 spoke，您可以选择在混合 spoke 过滤条件下，点击包含从 hub 到 spoke 的所有 IPv4 范围。
要为此 Spoke 添加更多连接，请重复上述步骤。完成后，点击完成，然后继续保存您的 spoke。

保存您的 Spoke

如果要添加更多 Spoke，请点击添加 Spoke，然后重新开始该过程，从输入 Spoke 名称开始。
添加完 Spoke 后，点击创建。 Network Connectivity Center 页面会更新，以显示您创建的 Spoke 的详细信息。

gcloud

如需创建 VLAN 连接 spoke，请使用 gcloud network-connectivity spokes linked-interconnect-attachments create 命令。

例如，如需创建具有两个 VLAN 连接并使用站点到站点数据传输的 spoke，请运行以下命令。

如需启用将子网 IP 地址范围导入此 spoke 的功能，请使用 --include-import-ranges 标志。

  gcloud network-connectivity spokes linked-interconnect-attachments create SPOKE_NAME \
      --hub=HUB_NAME \
      --description="DESCRIPTION" \
      --interconnect-attachments=VLAN_ATTACHMENT_NAME,VLAN_ATTACHMENT_NAME_2 \
      --region=REGION \
      --labels="KEY"="VALUE" \
      --site-to-site-data-transfer \
      --include-import-ranges=[INCLUDE_IMPORT_RANGES,...]

替换以下值：

SPOKE_NAME：Spoke 的名称
HUB_NAME：您要向其连接 Spoke 的 Hub 名称（以 URI 格式表示）；例如
projects/myproject/locations/global/hubs/us-west-to-uk
DESCRIPTION：spoke 的可选说明
VLAN_ATTACHMENT_NAME：要添加到 Spoke 的第一个 VLAN 连接的名称
VLAN_ATTACHMENT_NAME_2：第二个 VLAN 连接的名称；如果添加第二个连接，请确保省略英文逗号与连接名称之间的空格
REGION：Spoke 所在的 Google Cloud 区域
KEY：标签文本的键值对中的键
VALUE：标签文本的键值对中的值
[INCLUDE_IMPORT_RANGES,...]：指定要从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

如果您要为 spoke 启用数据传输，请使用 site-to-site-data-transfer 标志。如需详细了解此使用场景，请参阅站点到站点数据传输概览。

API

如需创建 VLAN 连接 Spoke，请使用 projects.locations.spokes.create 方法。例如，如需创建包含两个 VLAN 连接并启用了将子网 IP 地址范围导入此 spoke 的 spoke，请使用以下请求：

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/SPOKE_NAME
  {
    "hub": "HUB_NAME",
    "labels": {"KEY": "VALUE"},
    "linkedInterconnectAttachments": {
      "uris": [
        "VLAN_ATTACHMENT_NAME",
        "VLAN_ATTACHMENT_NAME_2"
      ],
      "siteToSiteDataTransfer": BOOLEAN
      "includeImportRanges": [INCLUDE_IMPORT_RANGES,...]
    }
  }

替换以下值：

PROJECT_ID：您的项目的 ID
REGION：您希望 spoke 所在的 Google Cloud 区域，例如 us-west1
SPOKE_NAME：Spoke 的名称
HUB_NAME：您要将 Spoke 连接到的 Hub 的名称
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值
VLAN_ATTACHMENT_NAME：要添加到 Spoke 的第一个 VLAN 连接的名称
VLAN_ATTACHMENT_NAME_2：第二个 VLAN 连接的名称
BOOLEAN：用于确定是否为 spoke 启用站点到站点数据传输的值；如需详细了解此使用场景，请参阅站点到站点数据传输概览
[INCLUDE_IMPORT_RANGES,...]：指定要从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

创建 VPN Spoke

在创建 VPN Spoke 之前，请参考以下准则：

在将高可用性 VPN 隧道连接到 Spoke 时，我们建议您将连接到单个站点的所有隧道一起配置为单个 Spoke。反之亦然；连接到两个不同网站的两个隧道应挂接到不同的 Spoke。例如，假设您希望将达拉斯的办公室与东京的办公室联系起来。与达拉斯连接的隧道所属的 Spoke 必须不同于将 VPC 网络连接到东京的 Spoke。
将高可用性 VPN 隧道连接到 spoke 时，您不能在同一 Google Cloud 项目中将位于不同区域的多个高可用性 VPN 网关互连。这是高可用性 VPN 的限制，而非 Network Connectivity Center 的限制。

如需了解如何配置创建 VPN Spoke 所需的资源，请参阅以下文档：

如需了解如何验证 VPN 资源，请参阅检查高可用性 VPN 状态。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.create
compute.routers.get
compute.vpnTunnels.get
如果您使用的是 Google Cloud 控制台，则需要拥有查看某些网络资源的权限。如需了解详情，请参阅角色和权限。

角色

您会看到下列其中一种公开范围：
- Spoke Admin (roles/networkconnectivity.spokeAdmin)
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
诸如 Compute Network Viewer (roles/compute.networkViewer)) 之类的角色，该角色可向您授予读取 Cloud Router 路由器资源和 spoke 的资源类型（本例中为 VPN 隧道）的权限
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

输入基本 Spoke 详情

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center

在项目菜单中，选择一个 Google Cloud 项目。
点击 Spoke 标签页。
点击添加 Spoke。
在新 spoke 表单中，设置 Spoke 类型。
输入 Spoke 名称和（可选）说明。
选择新 spoke 的区域字段。
在站点到站点数据传输下，选择开启或关闭。如果您选择的区域不支持数据传输，则该字段处于停用状态。如需详细了解此使用场景，请参阅站点到站点数据传输概览。
在 VPC 网络列表中，选择一个网络。如果您有多个使用数据传输功能的 Spoke，则所有这些 Spoke 都必须位于同一 VPC 网络中。因此，如果您已创建某个使用数据传输功能的 Spoke，则 VPC 网络值会被预填充且无法更改。

输入 VPN 隧道详情

将 Spoke 类型下拉列表设置为 VPN 隧道。
选择 Spoke 的区域。
选择一个隧道：
1. 点击添加隧道。
2. 从 VPN 隧道下拉菜单中，选择一个现有隧道。
如需将通告到 hub 的子网传播到混合 spoke，您可以选择在混合 spoke 过滤条件下，点击包含从 hub 到 spoke 的所有 IPv4 范围。
要为此 Spoke 添加更多隧道，请重复上述步骤。完成后，点击完成，然后继续保存您的 spoke。

保存您的 Spoke

如果要添加更多 Spoke，请点击添加 Spoke，然后重新开始该过程，从输入 Spoke 名称开始。
添加完 Spoke 后，点击创建。 Network Connectivity Center 页面会更新，以显示您创建的 Spoke 的详细信息。

gcloud

如需创建包含高可用性 VPN 隧道的 spoke，请使用 gcloud network-connectivity spokes linked-vpn-tunnels create 命令。

例如，如需创建具有两个高可用性 VPN 隧道并使用站点到站点数据传输的 spoke，请输入以下命令。

如需启用将子网 IP 地址范围导入此 spoke 的功能，请使用 --include-import-ranges 标志。

  gcloud network-connectivity spokes linked-vpn-tunnels create SPOKE_NAME \
      --hub=HUB_NAME \
      [--description="DESCRIPTION"] \
      --vpn-tunnels=TUNNEL_NAME,TUNNEL_NAME_2 \
      --region=REGION \
      --labels="KEY"="VALUE" \
      --site-to-site-data-transfer \
      --include-import-ranges=[INCLUDE_IMPORT_RANGES,...]

替换以下值：

SPOKE_NAME：Spoke 的名称
HUB_NAME：您要向其连接 Spoke 的 Hub 名称（以 URI 格式表示）；例如
projects/PROJECT_ID/locations/global/hubs/us-west-to-uk
DESCRIPTION：spoke 的可选说明，例如 us-vpn-spoke
TUNNEL_NAME：要添加到 Spoke 的第一个高可用性 VPN 隧道的名称
TUNNEL_NAME_2：第二个高可用性 VPN 隧道的名称；如果您使用第二个隧道，请确保省略英文逗号与第二个隧道名称之间的空格
REGION：Spoke 所在的 Google Cloud 区域
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值
[INCLUDE_IMPORT_RANGES,...]：指定要从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

如果您要为 spoke 启用数据传输，请使用 site-to-site-data-transfer 标志。如需详细了解此使用场景，请参阅站点到站点数据传输概览。

API

如需创建 VPN Spoke，请使用 projects.locations.spokes.create 方法。例如，如需创建包含两个高可用性 VPN 隧道并启用了包含导入子网 IP 地址范围的 spoke，请使用以下请求：

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/SPOKE_NAME
  {
    "hub": "HUB_NAME",
    "labels": {"KEY": "VALUE"},
    "linkedVpnTunnels": {
      "uris": [
        "TUNNEL_NAME",
        "TUNNEL_NAME_2"
      ],
      "siteToSiteDataTransfer": BOOLEAN,
      "includeImportRanges": [INCLUDE_IMPORT_RANGES,...]
    }
  }

替换以下值：

PROJECT_ID：您的项目的 ID
REGION：您希望 spoke 所在的 Google Cloud 区域，例如 us-west1
SPOKE_NAME：Spoke 的名称
HUB_NAME：您要将 Spoke 连接到的 Hub 的名称
KEY：可选标签文本的键值对中的键
VALUE：可选标签文本的键值对中的值
TUNNEL_NAME：要添加到 Spoke 的第一个高可用性 VPN 隧道的名称
TUNNEL_NAME_2：第二个高可用性 VPN 隧道的名称
BOOLEAN：用于确定是否为 spoke 启用站点到站点数据传输的值；如需详细了解此使用场景，请参阅站点到站点数据传输概览
[INCLUDE_IMPORT_RANGES,...]：指定要从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

列出 Spoke

创建 spoke 时，它始终与 hub 相关联。您可以使用 list spokes 操作列出单个项目中的所有 spoke。您还可以列出所有项目中与某个 hub 关联的所有 spoke。另请参阅描述 hub。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.list

角色

以下项之一：
- Hub & Spoke Viewer (roles/networkconnectivity.hubViewer)
- Spoke Admin (roles/networkconnectivity.spokeAdmin
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择包含要列出现有 Spoke 的 Hub 的项目。
在 Hub 标签页中，选择 hub。
点击 Spoke 标签页。系统会列出连接到该 Hub 的所有 Spoke。
使用过滤条件字段按名称、类型、状态、ID、区域、资源数量、BGP 会话或说明对 spoke 进行排序。
如需查看特定 spoke 的详细信息，请点击 spoke 名称。

gcloud

如需列出项目中现有的 spoke，请使用 gcloud network-connectivity spokes list 命令。

gcloud network-connectivity spokes list \
    --region=LOCATION

将 LOCATION 替换为适当的区域。

如需列出项目中现有的 VPC spoke，请使用同一命令并附加 --global 标志：

gcloud network-connectivity spokes list \
    --global

如需列出所有项目中与某个 hub 关联的所有 spoke，请使用 gcloud network-connectivity hubs list-spokes 命令。

gcloud network-connectivity hubs list-spokes HUB_NAME

将 HUB_NAME 替换为您要列出 spoke 的 hub 的名称，例如 my-hub。

过滤条件

如需列出属于特定群组的所有 VPC spoke，请使用 gcloud network-connectivity hubs list-spokes 命令并指定 group 过滤条件。

gcloud network-connectivity hubs list-spokes HUB_NAME \
    --filter="group:GROUP_NAME"

替换以下值：

HUB_NAME：要为其列出 spoke 的 hub 的名称
GROUP_NAME：spoke 群组的名称。支持的值为：网状拓扑为 default，星形拓扑 hub 为 center 或 edge。

如需列出与 hub 关联且正在等待 hub 管理员审核的所有 VPC spoke，请使用相同的命令并指定 reason 过滤条件。

gcloud network-connectivity hubs list-spokes HUB_NAME \
    --filter="reason:PENDING_REVIEW"

将 HUB_NAME 替换为您要列出 spoke 的 hub 的名称。

如需列出与某个 hub 关联的所有非活跃 VPC spoke，请使用相同的命令并指定 state 过滤条件。

gcloud network-connectivity hubs list-spokes HUB_NAME \
    --filter="state:INACTIVE"

将 HUB_NAME 替换为您要列出非活跃 spoke 的 hub 的名称。

API

如需列出项目中现有的 spoke，请使用 projects.locations.spokes.list 方法。

  GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/spokes

替换以下值：

PROJECT_ID：要列出的 Spoke 所属项目的项目 ID
LOCATION：该 Spoke 所在的区域，例如 VPC Spoke 的 us-west1 或 global

如需列出所有项目中与某个 hub 关联的所有 spoke，请使用 networkconnectivity.hubs.listSpokes 方法。

  GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME:listSpokes

替换以下值：

PROJECT_ID：hub 的项目 ID
HUB_NAME：要为其列出 spoke 的 hub 的名称

如需获取现有 Spoke 的汇总列表，其中多行的值将汇总成单个摘要值，请将 projects.locations.spokes.list 方法并将 locations 后面的连字符 (-) 用作通配符。

  GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/-/spokes

将 PROJECT_ID 替换为包含要列出的 spoke 的项目的 ID。

描述 Spoke

要获取有关现有 Spoke 的详细信息，请遵循以下指导信息。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.describe
此外，如果您使用的是 Google Cloud 控制台，您还需要以下权限：
- networkconnectivity.hubs.get
- networkconnectivity.hubs.list
- networkconnectivity.spokes.list
- compute.projects.get

角色

以下项之一：
- Hub & Spoke Viewer (roles/networkconnectivity.hubViewer)
- Spoke Admin (roles/networkconnectivity.spokeAdmin
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
在 Hub 标签页中，选择 hub。系统会列出连接到该 Hub 的所有 Spoke。
如需查看特定 spoke 的详细信息，请执行以下操作之一：
- 在 Spoke 名称列中，选择一个 Spoke 以查看 Spoke 详细信息页面。
- 在 Spoke 标签页上，点击 Spoke 名称列，然后选择 Spoke 以查看 Spoke 详细信息页面。

gcloud

如需描述 Spoke，请使用 gcloud network-connectivity spokes describe 命令。

  gcloud network-connectivity spokes describe SPOKE_NAME \
      --region=LOCATION

替换以下值：

SPOKE_NAME：Spoke 的名称
LOCATION：Spoke 所在的区域

如需描述 VPC Spoke，请使用同一命令并附加带有 --global 标志：

  gcloud network-connectivity spokes describe SPOKE_NAME \
      --global

将 SPOKE_NAME 替换为 spoke 的名称。

API

如需描述 Spoke，请使用 projects.locations.spokes.get 方法。

 GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/spokes/SPOKE_NAME

替换以下值：

PROJECT_ID：该 Spoke 所属项目的项目 ID
LOCATION：该 Spoke 所在的区域，例如 VPC Spoke 的 us-west1 或 global
SPOKE_NAME：Spoke 的名称

查看 Private Service Connect 连接传播状态

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.hubs.queryStatus

角色

以下项之一：
- Hub Admin (roles/networkconnectivity.hubAdmin)
- Hub Viewer (roles/networkconnectivity.hubViewer)

如果您已启用 Private Service Connect 连接传播，请按以下步骤查看连接传播状态。

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
在 Hub 标签页中，选择要查看连接传播状态的 hub。Hub 详情页面会列出端点以及每个端点的 Private Service Connect 连接传播状态。
如需仅查看存在错误的端点，请点击仅显示错误。

gcloud

使用 gcloud network-connectivity hubs query-status 命令。

gcloud network-connectivity hubs query-status HUB_NAME

将 HUB_NAME 替换为要查看连接传播状态的 hub 的名称。

您可以使用 --filter、--limit、--sort-by 和 --group-by 标志对结果进行排序和分组。如需详细了解如何使用这些标志，请参阅 gcloud network-connectivity hubs query-status 命令页面。

输出的结果应类似于以下内容：

gcloud network-connectivity hubs query-status HUB

SOURCE_FORWARDING_RULE   SOURCE_SPOKE    SOURCE_GROUP    TARGET_SPOKE    TARGET_GROUP      CODE          COUNT
PSC1                     spoke1          default          spoke2         default           READY           1
PSC1                     spoke1          default          spoke3         default           ERROR_..        1
PSC1                     spoke1          default          spoke4         default           ERROR_..        1
PSC1                     spoke1          default          spoke5         default           READY           1
PSC2                     spoke5          default          spoke1         default           READY           1
PSC2                     spoke5          default          spoke2         default           PROPAGATING     1
PSC2                     spoke5          default          spoke3         default           ERROR_..        1
PSC2                     spoke5          default          spoke4         default           ERROR_..        1

API

使用 networkconnectivity.hubs.queryStatus 方法。

 GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME:queryStatus

替换以下值：

PROJECT_ID：hub 所属项目的项目 ID
HUB_NAME：要查看状态的 hub 的名称

如需查看按 spoke 名称和状态代码分组的状态结果，请使用 psc_propagation_status.source_spoke,psc_propagation_status.code 字符串：

GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME:queryStatus?group_by=psc_propagation_status.source_spoke,psc_propagation_status.code

如需深入了解与特定来源 spoke 相关的特定类型的错误，请指定 spoke 名称和状态代码：

GET https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/hubs/HUB_NAME:queryStatus?filter=psc_propagation_status.source_spoke=SPOKE_NAMEpsc_propagation_status.code=CODE

替换以下值：

SPOKE_NAME：要查看状态的 spoke 的名称
CODE：spoke 显示的当前状态代码

下表列出了传播状态消息及其含义。

代码	消息
准备就绪	Private Service Connect 传播连接已准备就绪。
正在传播	Private Service Connect 连接传播处于待处理状态。这是一个暂时性状态。
Error, producer propagated connection limit exceeded（错误，已超出提供方传播连接数上限）	由于目标 spoke 的 VPC 网络或项目超出了提供方设置的传播连接数上限，Private Service Connect 连接传播失败。如需解决此问题，请参阅提供方的文档或与其支持团队联系。
Error, producer NAT IP space exhausted（错误，提供方 NAT IP 空间已用尽）	由于 NAT IP 子网空间已用尽，Private Service Connect 连接传播失败。这相当于 PSC 连接的 `Needs attention` 状态。如需了解详情，请参阅 Private Service Connect 文档中的连接状态。
Error, producer quota exceeded（错误，已超出提供方配额）	由于超出了提供方 VPC 网络中的 `PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK` 配额，Private Service Connect 连接传播失败。
Error, consumer quota exceeded（错误，已超出使用方配额）	由于超出了使用方 VPC 网络中的 `PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK` 配额，Private Service Connect 连接传播失败。

更新 Spoke

创建 spoke 后，您可以更新的属性取决于 spoke 类型。如需根据 spoke 类型更新属性，请使用下表：

过程	说明
更新说明、标签和包含 IP 地址范围	对于所有 spoke 类型，您都可以更改 spoke 的说明以及应用于 spoke 的标签；如需了解标签，请参阅为项目创建和更新标签。如果 spoke 是混合 spoke，您还可以更改从 hub 子网导入的 IP 地址范围。
更改导出的子网 IPv4 地址范围	如果 spoke 是 VPC 或提供方 VPC spoke，您可以更改 spoke 是否包含或排除指定导出到 hub 的 IPv4 地址范围（预览版）。
更新 VPC spoke 是否导出 IPv6 子网范围	如果 spoke 是 VPC spoke，您可以更改 spoke 是否导出 IPv6 子网范围。
更新路由器设备 Spoke 的底层资源	如果 spoke 是路由器设备 spoke，则可以更改其底层资源；但是，新资源必须与原始资源位于同一 VPC 网络。

如需更新 NCC 网关 spoke 的容量，请参阅更新 NCC 网关 spoke 的容量。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.update

角色

以下项之一：
- Spoke Admin (roles/networkconnectivity.spokeAdmin
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)

更新说明、标签和包含导入 IP 地址范围

本部分介绍了如何更新 spoke 的说明、标签和包含 IP 地址范围。

gcloud

要更新 Spoke，请使用以下任一命令：

您可以通过将 ALL_IPV4_RANGES 添加到所有混合 spoke 类型的列表中来更新从 hub 子网导入的 IP 地址范围。

例如，如需更新路由器设备 spoke 的说明、标签和包含 IP 地址范围，请运行以下命令：

  gcloud network-connectivity spokes linked-router-appliances update SPOKE_NAME \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --update-labels="KEY"="VALUE" \
      --include-import-ranges="[INCLUDE_IMPORT_RANGES,...]"

替换以下值：

SPOKE_NAME：要更新的 Spoke 的名称
DESCRIPTION：Spoke 的新说明
LOCATION：spoke 所在的 Google Cloud 区域，例如 us-west1 或 global
KEY：键值对中的键
VALUE：键值对中的值
[INCLUDE_IMPORT_RANGES,...]：可以从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

API

如需更新 Spoke，请使用 projects.locations.spokes.patch 方法。例如，如需更新路由器设备 spoke 的说明和标签，请运行以下命令：

 PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/SPOKE_NAME
 {
   "description": "DESCRIPTION"
   "labels": {
     "KEY": "VALUE"
     "includeImportRanges": [INCLUDE_IMPORT_RANGES,...]
   }
 }

替换以下值：

PROJECT_ID：该 Spoke 所属项目的项目 ID
REGION：该 Spoke 所在的区域；例如 us-west1
SPOKE_NAME：要更新的 Spoke 的名称
DESCRIPTION：Spoke 的新说明
KEY：键值对中的键
VALUE：键值对中的值
[INCLUDE_IMPORT_RANGES,...]：可以从 hub 子网导入的 IP 地址范围。您只能将 ALL_IPV4_RANGES 添加到列表中。如果为空，则 spoke 不会从 hub 导入任何子网。

更改导出的子网 IPv4 地址范围（预览版）

本部分介绍了如何使用包含和排除导出过滤条件来配置从 VPC spoke 导出到 hub 的子网 IPv4 地址范围。

如需详细了解 IP 地址范围导出过滤条件，请参阅使用导出过滤条件的 VPC 连接。

在更改从位于与 hub 项目不同的项目中的 VPC spoke 或提供方 VPC spoke 导出的子网 IPv4 地址范围时，请注意以下事项：

Spoke 更新必须遵循所有 Network Connectivity Center 配额和限制；否则，spoke 更新将失败。
如果 VPC spoke 是 hub 管理员配置的自动接受项目的一部分，则您对包含和排除导出过滤条件的更改会自动被接受。如果 VPC spoke 不是自动接受项目的一部分，则对包含和排除导出过滤条件的更改需要获得 hub 管理员的批准。
如果 spoke 更新提案被 hub 管理员拒绝，则您可以发送包含不同过滤范围的新 spoke 更新请求。
如需检查您提议的更新的状态，请参阅检查 VPC spoke 的状态。

gcloud

如需配置从 VPC spoke 导出到 hub 的子网 IPv4 地址范围，请运行以下命令：

  gcloud network-connectivity spokes linked-vpc-network update SPOKE_NAME \
      --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
      --exclude-export-ranges=[EXCLUDE_IPv4_RANGES]

替换以下值：

SPOKE_NAME：要更新的 Spoke 的名称
INCLUDE_EXPORT_RANGES：一个英文逗号分隔列表，其中包含用于定义可导出到 hub 的子网 IP 地址范围的关键字、CIDR 或关键字和 CIDR 组合。
- ALL_PRIVATE_IPV4_RANGES 关键字会将使用专用 IPv4 地址的所有子网范围添加到包含导出范围列表中。
- ALL_IPV6_RANGES 关键字会将所有 IPv6 子网范围添加到包含导出范围列表中。
- 包含导出范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。VPC spoke 网络中与包含导出范围列表中的 CIDR 重叠的每个当前和未来子网范围都必须满足以下条件之一：
  - 与包含导出范围列表中的 CIDR 完全匹配。
  - 处于包含导出范围列表中的 CIDR 内。在这种情况下，子网范围的子网掩码长度大于包含导出范围列表中的 CIDR。例如，如果 VPC spoke 网络具有 10.1.2.0/24 子网范围，则 10.1.0.0/16 是包含导出范围列表的有效 CIDR，但 10.1.2.0/25 则不是。
- 如果您省略 INCLUDE_EXPORT_RANGES 列表，Network Connectivity Center 的运作方式就如同包含导出范围列表为 [ALL_PRIVATE_IPV4_RANGES] 一样。
EXCLUDE_IPV4_RANGES：用于定义绝不会导出到 hub 的子网 IP 地址范围的 CIDR 的英文逗号分隔列表。
- 排除 IPv4 范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。
- 排除 IPv4 范围列表中指定的每个 CIDR 都必须扩展到由包含导出范围列表完全包含的 IP 地址。
- 如果您省略 EXCLUDE_IPV4_RANGES 列表，Network Connectivity Center 的运作方式就如同排除 IPv4 导出范围列表为空 ([]) 一样。

API

如需更新 VPC spoke 是否导出 IPv4 子网范围，请使用以下请求：

 PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
 {
   "linkedVpcNetwork" : {
     "includeExportRanges": "[INCLUDE_EXPORT_RANGES]",
     "excludeExportRanges": "[EXCLUDE_IPV4_RANGES]"
    }
 }

替换以下值：

PROJECT_ID：该 Spoke 所属项目的项目 ID
SPOKE_NAME：要更新的 Spoke 的名称
INCLUDE_EXPORT_RANGES：一个英文逗号分隔列表，其中包含用于定义可导出到 hub 的子网 IP 地址范围的关键字、CIDR 或关键字和 CIDR 组合。
- ALL_PRIVATE_IPV4_RANGES 关键字会将使用专用 IPv4 地址的所有子网范围添加到包含导出范围列表中。
- ALL_IPV6_RANGES 关键字会将所有 IPv6 子网范围添加到包含导出范围列表中。
- 包含导出范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。VPC spoke 网络中与包含导出范围列表中的 CIDR 重叠的每个当前和未来子网范围都必须满足以下条件之一：
  - 与包含导出范围列表中的 CIDR 完全匹配。
  - 处于包含导出范围列表中的 CIDR 内。在这种情况下，子网范围的子网掩码长度大于包含导出范围列表中的 CIDR。例如，如果 VPC spoke 网络具有 10.1.2.0/24 子网范围，则 10.1.0.0/16 是包含导出范围列表的有效 CIDR，但 10.1.2.0/25 则不是。
- 如果您省略 INCLUDE_EXPORT_RANGES 列表，Network Connectivity Center 的运作方式就如同包含导出范围列表为 [ALL_PRIVATE_IPV4_RANGES] 一样。
EXCLUDE_IPV4_RANGES：用于定义绝不会导出到 hub 的子网 IP 地址范围的 CIDR 的英文逗号分隔列表。
- 排除 IPv4 范围列表最多支持 16 个不重叠的唯一 CIDR。列表中的任何 CIDR 都不能与列表中的其他 CIDR 匹配或包含其他 CIDR。
- 排除 IPv4 范围列表中指定的每个 CIDR 都必须扩展到由包含导出范围列表完全包含的 IP 地址。
- 如果您省略 EXCLUDE_IPV4_RANGES 列表，Network Connectivity Center 的运作方式就如同排除 IPv4 导出范围列表为空 ([]) 一样。

更新 VPC spoke 是否导出 IPv6 子网范围（预览版）

本部分介绍了如何更新 VPC spoke 是否导出 IPv6 子网范围。

如果您要更新属于不同项目中的 hub 的 spoke，请参阅以下注意事项，这些注意事项仅在更新 IPv6 子网范围的导出时适用。更新其他 spoke 属性时，这些注意事项不适用。

只有在 hub 管理员审核并接受您提议的更新后，您的更新才会生效。
如果 spoke 是 hub 管理员配置的自动接受项目的一部分，则您的更新会被自动接受。
如需检查您提议的更新的状态，请参阅检查 VPC spoke 的状态。

控制台

如需更新 VPC spoke 是否导出 IPv6 子网范围，请完成以下步骤：

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
点击 Spoke 标签页。
点击您要修改的 spoke 的名称。
在 VPC spoke 过滤条件部分中，设置 IPv6 范围字段：
- 如需启用导出所有 IPv6 子网范围功能，请选中相应复选框。
- 如需停用导出 IPv6 子网范围功能，请清除相应复选框。

gcloud

如需更新 VPC spoke 是否导出 IPv6 子网范围，请运行以下命令：

  gcloud network-connectivity spokes linked-vpc-network update SPOKE_NAME \
      --include-export-ranges=[INCLUDE_EXPORT_RANGES]

替换以下值：

SPOKE_NAME：要更新的 Spoke 的名称
INCLUDE_EXPORT_RANGES：用于确定是否导出所有 IPv6 子网范围的值。如需启用导出所有 IPv6 子网范围功能，请输入 ALL_IPV6_RANGES。如需停用导出 IPv6 子网范围功能，请将此字段留空：[]。

API

如需更新 VPC spoke 是否导出 IPv6 子网范围，请使用以下请求：

 PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
 {
   "linkedVpcNetwork" : {
     "includeExportRanges": "[INCLUDE_EXPORT_RANGES]"
    }
 }

替换以下值：

PROJECT_ID：该 Spoke 所属项目的项目 ID
SPOKE_NAME：要更新的 Spoke 的名称
INCLUDE_EXPORT_RANGES：用于确定是否导出所有 IPv6 子网范围的值。如需启用 IPv6 子网范围导出功能，请输入 ALL_IPV6_RANGES。如需停用导出 IPv6 子网范围功能，请将此字段留空：[]。

更新 NCC 网关 spoke 的容量

如果您更改现有网关 spoke 的容量，可能会导致网关中的现有和新流量出现短暂的网络中断。此外，某些合作伙伴可能无法使用某些容量选项。

如需更新现有 NCC 网关 spoke 的容量，请按照以下步骤操作。

gcloud

如需更新现有 NCC 网关 spoke 的容量，请使用 gcloud beta network-connectivity spokes gateways update 命令。

gcloud beta network-connectivity spokes gateways update SPOKE_NAME \
    [--description=DESCRIPTION] \
    --region=REGION \
    --hub=HUB_NAME \
    --capacity CAPACITY

替换以下内容：

SPOKE_NAME：Spoke 的名称
DESCRIPTION：spoke 的可选说明
REGION：您希望在其中部署 NCC 网关的区域
HUB_NAME：spoke 的 hub 名称
CAPACITY：NCC 网关的带宽上限，以 Gbps 为单位

支持的值包括 1 Gbps、10 Gbps 和 100 Gbps。默认值为 10 Gbps。如果您更改现有网关 spoke 的值，可能会导致网关中的现有和新流量出现短暂的网络中断。

API

如需更新 NCC 网关 spoke，请使用 projects.locations.spokes.patch 方法

PATCH https://networkconnectivity.googleapis.com/v1beta/projects/PROJECT/locations/LOCATION/spokes?updateMask=gateway.capacity
{
  "name": SPOKE_NAME,
  "hub": HUB_NAME,
  "gateway": {
     "capacity": CAPACITY
  }
}

替换以下内容：

PROJECT：该 Spoke 所属项目的项目 ID
LOCATION：您希望在其中部署 NCC 网关的区域
SPOKE_NAME：Spoke 的名称
HUB_NAME：spoke 的 hub 名称
CAPACITY：NCC 网关的带宽上限，以 Gbps 为单位

支持的值包括 1 Gbps、10 Gbps 和 100 Gbps。默认值为 10 Gbps。如果您更改现有网关 spoke 的值，可能会导致网关中的现有和新流量出现短暂的网络中断。

更新路由器设备 Spoke 的底层资源

本部分介绍了如何更新路由器设备 spoke 的底层资源。

控制台

如需更改路由器设备 Spoke 使用的资源，请完成以下步骤：

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
点击 Spoke 标签页。
点击您要修改的 spoke 的名称。
执行以下其中一项操作：
- 若要添加资源，请点击添加实例，然后按照提示选择一个或多个虚拟机。完成后，点击确定。
- 如需移除资源，请选择要移除的虚拟机，然后点击移除实例。在确认对话框中点击确定。

gcloud

如果需要，您可以更新路由器设备 spoke 以使用其他路由器设备实例，只要新资源与原始资源位于同一 VPC 网络中即可。如需用新资源替换现有资源，请运行以下命令：

  gcloud network-connectivity spokes linked-router-appliances update SPOKE_NAME \
      --region=LOCATION \
      --router-appliance=instance="ROUTER_APPLIANCE_URI",ip=IP_ADDRESS

替换以下值：

SPOKE_NAME：Spoke 的名称
LOCATION：spoke 所在的 Google Cloud 区域，例如 us-west1

ROUTER_APPLIANCE_URI：要与 Spoke 关联的新路由器设备实例的 URI，例如，

"https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"

IP_ADDRESS：新路由器设备实例的内部 IP 地址

API

如果需要，您可以更新路由器设备 spoke 以使用其他路由器设备实例，只要新资源与原始资源位于同一 VPC 网络中即可。如需用新资源替换现有资源，请使用以下请求：

 PATCH https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/SPOKE
 {
   "linkedRouterApplianceInstances": {
     "instances": [
       {
         "virtualMachine": "ROUTER_APPLIANCE_URI",
         "ipAddress": "IP_ADDRESS",
       }
     ]
   }
 }

替换以下值：

PROJECT_ID：该 Spoke 所属项目的项目 ID
REGION：该 Spoke 所在的区域；例如 us-west1
SPOKE：Spoke 的名称

ROUTER_APPLIANCE_URI：要与 Spoke 关联的新路由器设备实例的 URI，例如，

"https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"

IP_ADDRESS：新路由器设备实例的内部 IP 地址

删除 Spoke

删除 Spoke 时，您也可以从该 Spoke 中分离资源。也就是说，删除 spoke 并不会删除资源；它只会断开它们与 spoke 的连接。

如果您要删除 NCC 网关 spoke（预览版），则必须先删除以下资源：

与网关 spoke 关联的所有 Cloud Router 路由器
Secure Access Connect 连接

如果您要删除与提供方 VPC spoke 关联的 VPC spoke，则必须先删除提供方 VPC spoke。

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

networkconnectivity.spokes.delete
此外，如果您使用的是 Google Cloud 控制台，您还需要以下权限：
- networkconnectivity.hubs.get
- networkconnectivity.hubs.list
- networkconnectivity.spokes.list
- compute.projects.get

角色

以下项之一：
- Spoke Admin (roles/networkconnectivity.spokeAdmin
- Hub & Spoke Admin (roles/networkconnectivity.hubAdmin)
如果您使用的是 Google Cloud 控制台，则需要拥有 Compute Network Viewer (roles/compute.networkViewer) 角色

控制台

在 Google Cloud 控制台中，前往 Network Connectivity Center 页面。

转到 Network Connectivity Center
在项目菜单中，选择一个项目。
点击 Spoke 标签页。
查看项目的 Spoke 名称列表。
选择要删除的 Spoke。
点击删除 Spoke。
在确认对话框中，执行下列操作之一：
- 如果您不想删除 Spoke，请点击取消。
- 点击删除以删除 Spoke。

gcloud

如需删除 Spoke，请使用 gcloud network-connectivity spokes delete 命令。

  gcloud network-connectivity spokes delete SPOKE_NAME \
      --region=REGION

替换以下值：

SPOKE_NAME：要删除的 Spoke 的名称
REGION：Spoke 所在的区域；除了完整的 Spoke 名称中所列的区域外，其他区域均要使用此选项。如果您要删除 VPC spoke，则必须指定 --global。

API

如要删除现有 Spoke，请使用 projects.locations.spokes.delete 方法。

  DELETE https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/spokes/SPOKE_NAME

替换以下值：

PROJECT_ID：待删除 Spoke 所属项目的项目 ID
LOCATION：该 Spoke 所在的区域，例如 VPC Spoke 的 us-west1 或 --global
SPOKE_NAME：要删除的 Spoke 的名称

后续步骤

如需查看其解决方案已与 Network Connectivity Center 集成的合作伙伴列表，请参阅 Network Connectivity Center 合作伙伴。
如需查找路由器设备问题的解决方案，请参阅问题排查。
如需获取有关 API 和 Google Cloud CLI 命令的详细信息，请参阅 API 和参考文档。

处理 Hub 和 Spoke 使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

准备工作

创建或选择项目

启用 Network Connectivity API

控制台

获取访问权限

确定资源

使用 Hub

创建 hub

执行此任务所需的权限

控制台

gcloud

API

列出 Hub

执行此任务所需的权限

控制台

gcloud

API

描述 Hub

执行此任务所需的权限

控制台

gcloud

API

更新 Hub

执行此任务所需的权限

控制台

gcloud

API

删除 Hub

执行此任务所需的权限

控制台

gcloud

API

处理 Spoke

Spoke 指南

要求

限制

关于将多个资源连接到一个 Spoke 的建议

ASN Spoke 分配（仅限混合 Spoke）

验证 Spoke 资源

创建 NCC 网关 spoke

gcloud

API

创建 VPC Spoke

执行此任务所需的权限

控制台

gcloud

API

创建提供方 VPC spoke

执行此任务所需的权限

控制台

gcloud

API

创建路由器设备 Spoke

执行此任务所需的权限

控制台

gcloud

API

创建 VLAN 连接 Spoke

执行此任务所需的权限

控制台

gcloud

API

创建 VPN Spoke

执行此任务所需的权限

控制台

gcloud

API

列出 Spoke

执行此任务所需的权限

控制台

gcloud

API

描述 Spoke

执行此任务所需的权限

控制台

gcloud

API

查看 Private Service Connect 连接传播状态

执行此任务所需的权限

处理 Hub 和 Spoke